マイクロソフト セキュリティ情報 MS08-012 - 緊急
Microsoft Office Publisher の脆弱性により、リモートでコードが実行される (947085)
概説
概要
この深刻度が「緊急」のセキュリティ更新プログラムは、ユーザーが特別な細工がされた Publisher ファイルを表示した場合、リモートでコードが実行される可能性がある非公開で報告された Microsoft Office Publisher に存在する 2 件の脆弱性を解決します。攻撃者によりこれらの脆弱性が悪用された場合、影響を受けるコンピュータが完全に制御される可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。
これは、サポートされているリリースの Microsoft Office Publisher 2000、サポートされているリリースの Microsoft Office Publisher 2002 およびサポートされているエディションの Microsoft Office Publisher 2003 Service Pack 2 の「緊急」のセキュリティ更新プログラムです。Microsoft Publisher 2003 Service Pack 3, Microsoft Office Publisher 2007, および Microsoft Office Publisher 2007 Service Pack 1 はこの脆弱性による影響を受けません。
詳細情報は、このセクションの「影響を受けるソフトウェアおよび影響を受けないソフトウェア」のサブセクションをご覧ください。このセキュリティ更新プログラムは、Microsoft Office Publisher が特別な細工がされた Publisher ファイルを処理する方法を変更することによりこの脆弱性を解決します。この脆弱性に関する詳細情報は、次の「脆弱性の情報」のセクションの下の特定の脆弱性のエントリに関するサブセクション「よく寄せられる質問 (FAQ)」をご覧ください。
推奨する対応策: マイクロソフトは、お客様に直ちにこの更新プログラムを適用することを推奨します。
既知の問題: なし
US マイクロソフトセキュリティ情報: http://www.microsoft.com/technet/security/bulletin/MS08-012.mspx
影響を受けるソフトウェアおよび影響を受けないソフトウェア
ここに記載されているソフトウェアをテストし、影響を受けるバージョンまたはエディションを確認しました。そのほかのバージョンまたはエディションはサポート ライフサイクルが終了したか、または影響を受けません。ご使用中のソフトウェアのバージョンまたはエディションのサポート ライフサイクルを確認するためには、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください。
影響を受けるソフトウェアおよびそのダウンロード先:
このマークをクリックして、PC/AT 互換機用または NEC PC-9800 シリーズ用の更新プログラムをダウンロードしてください。
更新プログラムをダウンロードおよびインストールする方法は、更新プログラムのダウンロード方法および更新プログラムのインストール方法をご覧ください。
| Office スイートおよびその他の影響を受けるソフトウェア | アプリケーション | PC/AT および PC-9800 | 最も深刻な脆弱性の影響 | 総合的な深刻度 | この更新プログラムによって置き換えられるセキュリティ情報 |
Microsoft Office 2000 Service Pack 3 | Microsoft office Publisher 2000 |
| リモートでコードが実行される | 緊急 | |
Microsoft Office XP Service Pack 3 | Microsoft office Publisher 2002 |
| リモートでコードが実行される | 重要 | |
Microsoft Office 2003 Service Pack 2 | Microsoft office Publisher 2003 |
| リモートでコードが実行される | 重要 |
影響を受けないソフトウェア
| Office スイート | アプリケーション |
2007 Microsoft Office system | Microsoft Office Publisher 2007 |
2007 Microsoft Office System Service Pack 1 | Microsoft Office Publisher 2007 Service Pack 1 |
Microsoft Office 2003 Service Pack 3 | Microsoft Office Publisher 2003 Service Pack 3 |
このセキュリティ更新プログラムに関するよく寄せられる質問 (FAQ) |
脆弱性の詳細
深刻度および脆弱性識別番号 |
Publisher の無効なメモリ参照の脆弱性 - CVE-2008-0102 |
Publisher ファイルをメモリに読み込む時、Microsoft Office Publisher が読み込んだデータを検証する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者は特別な細工がされた Publisher (.pub) ファイルを作成することにより、この脆弱性を悪用する可能性があります。ユーザーが .pub ページを表示すると、この脆弱性により、リモートでコードが実行される可能性があります。攻撃者によりこの脆弱性が悪用された場合、影響を受けるコンピュータが完全に制御される可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。
Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2008-0102 をご覧ください。
「Publisher の無効なメモリ参照の脆弱性」の問題を緩和する要素 - CVE-2008-0102: |
「Publisher の無効なメモリ参照の脆弱性」の回避策 - CVE-2008-0102: |
「Publisher の無効なメモリ参照の脆弱性」のよく寄せられる質問 - CVE-2008-0102: |
Publisher のメモリの破損の脆弱性 - CVE-2008-0104 |
Microsoft Office Publisher が Publisher ファイルをメモリに読み込む際にアプリケーション データを検証する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者は特別な細工がされた Publisher (.pub) ファイルを作成することにより、この脆弱性を悪用する可能性があります。ユーザーが .pub ファイルを表示すると、この脆弱性により、リモートでコードが実行される可能性があります。攻撃者によりこの脆弱性が悪用された場合、影響を受けるコンピュータが完全に制御される可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。
Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2008-0104 をご覧ください。
「Publisher のメモリの破損の脆弱性」の問題を緩和する要素 - CVE-2008-0104: |
「Publisher のメモリの破損の脆弱性」の回避策 - CVE-2008-0104: |
「Publisher のメモリの破損の脆弱性」のよく寄せられる質問 - CVE-2008-0104: |
セキュリティ更新プログラムに関する情報
検出および展開ツールとガイダンス |
セキュリティ更新プログラムの展開 |
影響を受けるソフトウェア
影響を受けるソフトウェアに関する特定のセキュリティ更新プログラムについての情報は、該当のリンクをご覧ください。
Publisher 2000 |
参照表
次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。
| 参照表 | |
| この修正を含む予定のサービスパック | |
今後のこのソフトウェア向けのサービス パックは計画されていません。この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります。 | |
| 展開 | |
ユーザーによる操作を必要としないインストール | office2000-kb946255-fullfile-jpn.exe /q:a |
再起動しないインストール | office2000-kb946255-fullfile-jpn.exe /r:n |
ログファイル | 対象外 |
詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。機能を選択してインストールする機能については、このセクションのサブセクション「管理者インストール用の Office の機能」をご覧ください。 |
| 再起動に関する情報 | |
再起動の必要性 | このセキュリティ更新プログラムは再起動を必要としません。 |
ホットパッチ | 対象外 |
| 削除に関する情報 | |
この更新プログラムのインストール後、削除はできません。更新プログラムがインストールされる前に、インストールを以前の状態に戻すには、アプリケーションを削除し、元のメディアから再インストールする必要があります。 | |
| ファイル情報 | |
このセクション内のサブセクション「ファイル情報」をご覧ください。 | |
| レジストリキーの確認 | |
対象外 | |
ファイル情報 |
管理者インストール用の Office の機能 |
展開に関する情報 |
Publisher 2002 |
参照表
次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。
| 参照表 | |
| この修正を含む予定のサービスパック | |
今後のこのソフトウェア向けのサービス パックは計画されていません。この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります。 | |
| 展開 | |
ユーザーによる操作を必要としないインストール | officeXP-KB946216-fullfile-jpn.exe /q:a |
再起動しないインストール | officeXP-KB946216-fullfile-jpn.exe /r:n |
ログファイル | 対象外 |
詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。機能を選択してインストールする機能については、このセクションのサブセクション「管理者インストール用の Office の機能」をご覧ください。 |
| 再起動に関する情報 | |
再起動の必要性 | このセキュリティ更新プログラムは再起動を必要としません。 |
ホットパッチ | 対象外 |
| 削除に関する情報 | |
[コントロール パネル] の [プログラムの追加と削除] を使用します。 注: この更新プログラムを削除する場合、CD ドライブに Microsoft Office XP の CD を挿入するようメッセージが表示される場合があります。さらに、[コントロール パネル] の [アプリケーションの追加と削除] から更新プログラムを削除するオプションがない場合もあります。この問題について、いくつかの考えられる原因があります。削除に関する詳細情報は、サポート技術情報 903771 をご覧ください。 | |
| ファイル情報 | |
このセクション内のサブセクション「ファイル情報」をご覧ください。 | |
| レジストリキーの確認 | |
対象外 | |
ファイル情報 |
管理者インストール用の Office の機能 |
展開に関する情報 |
Publisher 2003 |
参照表
次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。
| 参照表 | |
| この修正を含む予定のサービスパック | |
この問題に対する更新プログラムは今後リリースされるサービス パックまたは更新プログラムのロールアップに含まれる予定です。 | |
| 展開 | |
ユーザーによる操作を必要としないインストール | office2003-kb946254-fullfile-jpn.exe /q:a |
再起動しないインストール | office2003-kb946254-fullfile-jpn.exe /r:n |
ログファイル | 対象外 |
詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。機能を選択してインストールする機能については、このセクションのサブセクション「管理者インストール用の Office の機能」をご覧ください。 |
| 再起動に関する情報 | |
再起動の必要性 | このセキュリティ更新プログラムは再起動を必要としません。 |
ホットパッチ | 対象外 |
| 削除に関する情報 | |
[コントロール パネル] の [プログラムの追加と削除] を使用します。 注: この更新プログラムを削除する場合、CD ドライブに Microsoft Office 2003 の CD を挿入するようメッセージが表示される場合があります。さらに、[コントロール パネル] の [アプリケーションの追加と削除] から更新プログラムを削除するオプションがない場合もあります。この問題について、いくつかの考えられる原因があります。削除に関する詳細情報は、サポート技術情報 903771 をご覧ください。 | |
| ファイル情報 | |
このセクション内のサブセクション「ファイル情報」をご覧ください。 | |
| レジストリキーの確認 | |
対象外 | |
ファイル情報 |
管理者インストール用の Office の機能 |
展開に関する情報 |
その他の情報
謝辞
この問題を連絡し、顧客の保護に協力して下さった下記の方に対し、マイクロソフトは深い謝意を表します。
| • | 「Publisher の無効なメモリ参照の脆弱性」 - CVE-2008-0102 の 問題を報告をしてくださった Piotr Bania 氏 |
| • | 「Publisher の無効なメモリ参照の脆弱性」 - CVE-2008-0102 の 問題を報告をしてくださった Fortinet Security Research の Bing Liu 氏 |
| • | 「Publisher のメモリの破損の脆弱性」 - CVE-2008-0104 の 問題を報告をしてくださった Fortinet Security Research の Bing Liu 氏 |
サポート
| • | セキュリティ関連、およびセキュリティ更新プログラムに関するご質問や、ご不明な点などありましたら、マイクロソフト セキュリティ情報センターまでご連絡ください。 |
| • | その他、製品に関するご質問は、マイクロソフト プロダクト サポートまでご連絡ください。マイクロソフトでは、お問い合わせの内容が弊社製品の不具合が原因である場合、無償またはインシデントの未消費にてサポートをご提供いたします。 |
免責条項
本セキュリティ情報に含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation 及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation 及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行いません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。
更新履歴
| • | 2008/02/13: このセキュリティ情報ページを公開しました。 |
| • | 2008/02/14: このセキュリティ情報ページを更新し、このセキュリティ更新プログラムのインストールに関する既知の問題はないことを記載しました。 |
| • | 2008/09/11: このセキュリティ情報ページを更新し、「このセキュリティ更新プログラムに関するよく寄せられる質問 (FAQ)」に Microsoft Office の影響を受けないバージョンにこの更新プログラムが提供される理由を説明する項目を追加しました。 |